Erfahrungen bei der Risikoanalyse von Kritischen Infrastrukturen von KMUs. Clemens Teichmann, Roman Maczkowsky

Größe: px

Ab Seite anzeigen:

Download "Erfahrungen bei der Risikoanalyse von Kritischen Infrastrukturen von KMUs. Clemens Teichmann, Roman Maczkowsky"

Heidi Berger
vor 6 Jahren
Abrufe

1 Erfahrungen bei der Risikoanalyse von Kritischen Infrastrukturen von KMUs Clemens Teichmann, Roman Maczkowsky Projektträger:

2 Agenda Ausgangspunkt und Annahmen Risikoanalysen bei Betreibern Kritischer Infrastrukturen Erfahrungen und Herausforderungen Lösungsansatz

Quelle: Amenaza Quelle: verinice Quelle: BSI

Ausgangspunkt Kritische Infrastrukturen sind zunehmend

kommunalen Organisationen betrieben weisen sehr

Bewertung des Sicherheitsniveaus Voraussetzung für

mit generischen Methoden und Werkzeugen Aufwändig und

3 Quelle: Amenaza Quelle: verinice Quelle: BSI IT-Grundschutz Quelle: MEDIA CONSULTA Deutschland GmbH Ausgangspunkt Kritische Infrastrukturen sind zunehmend von IKT durchdrungen werden oft von kleinen und kommunalen Organisationen betrieben weisen sehr heterogenes Sicherheitsniveau auf Risikoanalyse und Bewertung des Sicherheitsniveaus Voraussetzung für effiziente und effektive Maßnahmenauswahl I.d.R. mit generischen Methoden und Werkzeugen Aufwändig und großer Zeitversatz Modellbasierte Sicherheitsanalyse von IKT-basierten Kritischen Infrastrukturen 3

4 Annahmen Heutige Methoden sind sehr aufwändig in Personal und Zeit zu generisch für einfache Anwendbarkeit zu abstrakt in der Abschätzung von Risiken und die dazugehörigen Werkzeuge sind nicht auf die Untersuchungsbereiche Kritische Infrastruktur angepasst mit wenig Hilfestellung für die Anwender ausgestattet schwer in bestehende Werkzeugketten einzubinden nicht an mögliche Sensoren angebunden Modellbasierte Sicherheitsanalyse von IKT-basierten Kritischen Infrastrukturen 4

Zentrale Rettungsleitstelle Gera Zentrale Aufgaben der Rettungsleitstelle Alarmieren und Führen des Rettungsdienstes und der Feuerwehren Vermittlung des Ärztlichen Notdienste, Auskünfte über

5 Zentrale Rettungsleitstelle Gera Zentrale Aufgaben der Rettungsleitstelle Alarmieren und Führen des Rettungsdienstes und der Feuerwehren Vermittlung des Ärztlichen Notdienste, Auskünfte über Bereitschaftsdienste Infrastruktur 5 Leitstellenarbeitsplätze 6 digitale Leitungen Notrufentgegennahme Direkte Drahtverbindung zur Polizei 8 Relaisfunkstellen im Leitstellengebiet Server für Karten- und Einsatzleitsystem Internetzugang Modellbasierte Sicherheitsanalyse von IKT-basierten Kritischen Infrastrukturen 5

6 Quelle: BSI Risikoanalyse mittels BSI IT-Grundschutz Vorgehen 1. Infrastruktur analysieren 2. Schutzbedarfsfeststellung 3. Maßnahmenauswahl 4. Ergänzende Sicherheitsanalyse Bewertung Gefährdung über BadUSB, Schadprogramm (Viren) und Eindringen Festlegung von Wirkungs- und Verhaltensindikatoren Größtes Risiko ist die Nichtverfügbarkeit der Notrufentgegennahme durch alle drei Gefährdungen Modellbasierte Sicherheitsanalyse von IKT-basierten Kritischen Infrastrukturen 6

7 Quelle: BSI Risikoanalyse mittels BSI IT-Grundschutz Vorgehen 1. Infrastruktur analysieren 2. Schutzbedarfsfeststellung 3. Maßnahmenauswahl 4. Ergänzende Sicherheitsanalyse Erfahrung Modellbasierte Sicherheitsanalyse von IKT-basierten Kritischen Infrastrukturen 7

Stadtwerk Haßfurt GmbH Zentrale Aufgaben Mehrspartenversorger für Strom, Erdgas, Wasser Erzeugung regenerativer Energien Administration der Netze Infrastruktur Netzleitstelle mit

8 Stadtwerk Haßfurt GmbH Zentrale Aufgaben Mehrspartenversorger für Strom, Erdgas, Wasser Erzeugung regenerativer Energien Administration der Netze Infrastruktur Netzleitstelle mit Steuerungssoftware Internes Rechenzentrum Verbindung zu externen Erzeugungsanlagen Internetzugang Modellbasierte Sicherheitsanalyse von IKT-basierten Kritischen Infrastrukturen 8

9 Risikoanalyse mittels Attack Trees Vorgehen 1. Angriffsziele identifizieren und bewerten 2. Angriffsschritte und Unterschritte zu den Zielen identifizieren und bewerten 3. Aggregation der Blattwerte Bewertung Hauptziel: Abschaltung der Stromversorgung Definition von Bedrohungsagenten Ziel vollständig nur über physisch gesicherten Zugriff zu erreichen Modellbasierte Sicherheitsanalyse von IKT-basierten Kritischen Infrastrukturen 9

Angriffsschritte und Unterschritte zu den Zielen identifizieren und

10 Risikoanalyse mittels Attack Trees Vorgehen 1. Angriffsziele identifizieren und bewerten 2. Angriffsschritte und Unterschritte zu den Zielen identifizieren und bewerten 3. Aggregation der Blattwerte Erfahrungen Modellbasierte Sicherheitsanalyse von IKT-basierten Kritischen Infrastrukturen 10

Erfahrungen und Herausforderungen Komplexität der Untersuchungsbereiche und vorhandene Ressourcen sehr unterschiedlich Ausgewählte Methoden bestimmen Ergebnisse (in

Werkzeugunterstützung) Mangelhafte oder fehlende Dokumentation der Infrastruktur Analyse der Abhängigkeiten zwischen Prozessen und Infrastruktur notwendig

11 Erfahrungen und Herausforderungen Komplexität der Untersuchungsbereiche und vorhandene Ressourcen sehr unterschiedlich Ausgewählte Methoden bestimmen Ergebnisse (in Aufwand und Tiefe) Schutzbedarfsfeststellung und Angreiferbeschreibungen gut einzuschätzen Hoher Ressourcenaufwand bei der Strukturanalyse (trotz Werkzeugunterstützung) Mangelhafte oder fehlende Dokumentation der Infrastruktur Analyse der Abhängigkeiten zwischen Prozessen und Infrastruktur notwendig Notwendige Kommunikation des Expertenwissens Schwierige Maßnahmenauswahl in wandelnder Infrastruktur Modellbasierte Sicherheitsanalyse von IKT-basierten Kritischen Infrastrukturen 11

Lösungsansatz Domänenspezifische Modellierung für Kritische Infrastruktur (Wieder-) Verwendung von Domänenwissen und Methodenunterstützung Templates für die Modellierung kritischer Infrastrukturen

12 Lösungsansatz Domänenspezifische Modellierung für Kritische Infrastruktur (Wieder-) Verwendung von Domänenwissen und Methodenunterstützung Templates für die Modellierung kritischer Infrastrukturen Kataloge für allgemeine und domänenspezifische Bedrohungen und Maßnahmen bewerten Sicherheitsbewertung anwenden Untersuchungsgegenstand Betreiberunabhängiges Expertenwissen Struktur Risikoanalyse Domänenwissen Physische Elemente Logische Elemente Gruppierungen Abhängigkeiten Schutzziele Bedrohungen Maßnahmen Bewertungen Klassen von Schutzzielen Klassen von Bedrohungen Klassen von Maßnahmen Abhängigkeiten Metriken Modellbasierte Sicherheitsanalyse von IKT-basierten Kritischen Infrastrukturen 12

Kontakt Projektwebsite: www.mosaikprojekt.

13 Kontakt Projektwebsite: Ansprechpartner Clemens Teichmann Fraunhofer-Institut für Angewandte und Integrierte Sicherheit (AISEC) Tel.: Modellbasierte Sicherheitsanalyse von IKT-basierten Kritischen Infrastrukturen 13

Ähnliche Dokumente

Hinweise zur Bereitstellung der Referenzdokumente im Rahmen der Zertifizierung nach ISO auf der Basis von IT- Grundschutz. Version 2.

Hinweise zur Bereitstellung der Referenzdokumente im Rahmen der Zertifizierung nach ISO 27001 auf der Basis von IT- Grundschutz Version 2.0 Bundesamt für Sicherheit in der Informationstechnik Postfach